AVV
Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO
Stand: 09.08.2026
zwischen
Auftraggeber – Verantwortlicher im Sinne der DSGVO
Name/Firma: ______________________________
Anschrift: ______________________________
Vertreten durch: ______________________________
E-Mail Datenschutz: ______________________________
– nachfolgend „Auftraggeber“ –
und
Schoen Software UG (haftungsbeschränkt)
Schönfließer Str. 21
10439 Berlin
Deutschland
E-Mail: info@schoen-negotiation.com
– nachfolgend „Auftragsverarbeiter“ –
Präambel
Dieser Auftragsverarbeitungsvertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien, soweit der Auftragsverarbeiter personenbezogene Daten im Auftrag des Auftraggebers gemäß Art. 28 DSGVO verarbeitet.
Er ergänzt den zwischen den Parteien bestehenden Hauptvertrag.
Verarbeitungen personenbezogener Daten, für die die Schoen Software UG (haftungsbeschränkt) selbst Zwecke und Mittel festlegt, insbesondere eigene Vertragsverwaltung, Abrechnung, IT-Sicherheit und gesetzliche Dokumentationspflichten, unterliegen nicht diesem AVV. Für diese Verarbeitungen ist die Schoen Software UG (haftungsbeschränkt) selbst Verantwortlicher.
§ 1 Gegenstand und Dauer der Auftragsverarbeitung
1. Gegenstand
Gegenstand der Auftragsverarbeitung ist die Verarbeitung personenbezogener Daten im Zusammenhang mit der Bereitstellung und Nutzung der im Hauptvertrag vereinbarten digitalen, Software- und KI-gestützten Dienste.
Hierzu können insbesondere Funktionen aus den Bereichen:
• Cost Engineering,
• Service-Cost Engineering,
• Analyse und Strukturierung von Geschäftsdaten,
• Argumentationsunterstützung,
• KI-gestützte Auswertungen,
• sonstige im Kundenkonto freigeschaltete Funktionen
gehören.
2. Dauer
Die Auftragsverarbeitung erfolgt für die Dauer des Hauptvertrags beziehungsweise solange der Auftragsverarbeiter personenbezogene Daten im Auftrag des Auftraggebers verarbeitet.
Nach Beendigung gelten die Regelungen über Rückgabe und Löschung nach § 10 dieses AVV.
§ 2 Art und Zweck der Verarbeitung
1. Art der Verarbeitung
Je nach Nutzung können insbesondere folgende Verarbeitungsvorgänge erfolgen:
• Erfassen,
• Speichern,
• Ordnen,
• Strukturieren,
• Abrufen,
• Auswerten,
• automatisiertes Verarbeiten,
• Übermitteln an genehmigte Unterauftragsverarbeiter,
• Bereitstellen von Ergebnissen,
• Löschen.
2. Zwecke
Die Verarbeitung erfolgt ausschließlich zur Erbringung der vom Auftraggeber beauftragten Dienste und zur technischen Durchführung der hierfür erforderlichen Verarbeitungsvorgänge.
Eine Nutzung personenbezogener Kundendaten zu eigenen Werbe-, Trainings- oder Modelltrainingszwecken des Auftragsverarbeiters erfolgt nicht.
Eine hiervon abweichende Nutzung bedarf einer gesonderten Vereinbarung und einer eigenständigen datenschutzrechtlichen Prüfung.
Vollständig anonymisierte Daten, bei denen ein Personenbezug nicht mehr hergestellt werden kann, unterliegen nicht diesem AVV.
§ 3 Kategorien personenbezogener Daten und betroffener Personen
1. Datenkategorien
Je nach Nutzung können insbesondere folgende Kategorien personenbezogener Daten verarbeitet werden:
• Namen und geschäftliche Kontaktdaten,
• Unternehmens- und Funktionszuordnungen,
• Angaben zu Mitarbeitern, Ansprechpartnern, Kunden, Lieferanten oder Geschäftspartnern,
• vom Auftraggeber beziehungsweise dessen Nutzern eingegebene Inhaltsdaten,
• Prompts und Eingaben,
• Analyseparameter,
• vom System erzeugte Outputs,
• technische Nutzungs- und Metadaten, soweit diese dem Auftraggeber zuzurechnen sind.
2. Kategorien betroffener Personen
Betroffene Personen können insbesondere sein:
• Beschäftigte des Auftraggebers,
• autorisierte Nutzer,
• Ansprechpartner,
• Mitarbeiter von Kunden oder Lieferanten,
• Geschäftspartner,
• Bevollmächtigte,
• sonstige Personen, deren personenbezogene Daten der Auftraggeber über die Dienste verarbeiten lässt.
3. Besondere Kategorien personenbezogener Daten
Die gezielte Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ist nicht Bestandteil der regulär vereinbarten Leistung.
Soll eine solche Verarbeitung erfolgen, bedarf dies einer vorherigen gesonderten Vereinbarung und der Festlegung angemessener zusätzlicher Schutzmaßnahmen.
§ 4 Weisungen des Auftraggebers
1.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, soweit keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht.
2.
Dokumentierte Weisungen ergeben sich insbesondere aus:
• dem Hauptvertrag,
• diesem AVV,
• den vom Auftraggeber autorisiert genutzten Funktionen und Einstellungen,
• ergänzenden Weisungen in Textform.
3.
Soweit der Auftragsverarbeiter aufgrund einer gesetzlichen Vorschrift zu einer Verarbeitung verpflichtet ist, die von den Weisungen des Auftraggebers abweicht, informiert er den Auftraggeber hierüber vor der Verarbeitung, soweit dies gesetzlich zulässig ist.
4.
Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich. Die Durchführung der betreffenden Weisung kann bis zur Klärung ausgesetzt werden, soweit dies erforderlich ist.
§ 5 Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich insbesondere:
1. personenbezogene Daten nur im Rahmen dokumentierter Weisungen zu verarbeiten;
2. sicherzustellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
3. geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO einzusetzen und aufrechtzuerhalten;
4. den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung von Betroffenenrechten nach Art. 12 bis 23 DSGVO zu unterstützen;
5. den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der Art. 32 bis 36 DSGVO zu unterstützen;
6. Datenschutzverletzungen, die personenbezogene Daten des Auftraggebers betreffen, unverzüglich nach Bekanntwerden an den Auftraggeber zu melden;
7. dem Auftraggeber die zur Erfüllung seiner Nachweis- und Kontrollpflichten erforderlichen Informationen bereitzustellen;
8. Kontrollen und Audits nach Maßgabe von § 11 zu ermöglichen.
§ 6 Pflichten des Auftraggebers
Der Auftraggeber bleibt für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten verantwortlich.
Er verpflichtet sich insbesondere:
1. nur solche personenbezogenen Daten über die Dienste verarbeiten zu lassen, deren Verarbeitung rechtmäßig ist;
2. erforderliche Informationspflichten gegenüber betroffenen Personen zu erfüllen;
3. erforderliche Rechtsgrundlagen, Einwilligungen oder sonstige Berechtigungen sicherzustellen;
4. Benutzerkonten, Berechtigungen und Zugangsdaten angemessen zu verwalten;
5. keine besonderen Kategorien personenbezogener Daten gemäß Art. 9 DSGVO gezielt verarbeiten zu lassen, sofern dies nicht zuvor gesondert vereinbart wurde;
6. personenbezogene Daten soweit möglich zu minimieren, zu pseudonymisieren oder zu anonymisieren;
7. den Auftragsverarbeiter unverzüglich über erkennbare Datenschutz- oder Sicherheitsrisiken zu informieren.
§ 7 Unterauftragsverarbeiter
1. Allgemeine Genehmigung
Der Auftraggeber erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen, soweit dies zur Vertragserfüllung erforderlich ist.
2. Information über Änderungen
Der Auftragsverarbeiter informiert den Auftraggeber über beabsichtigte wesentliche Änderungen hinsichtlich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern grundsätzlich mindestens 14 Tage vor deren Wirksamwerden.
Die Information kann insbesondere per E-Mail oder über eine dauerhaft zugängliche aktuelle Subprozessorenliste erfolgen.
3. Widerspruch
Der Auftraggeber kann einer Änderung innerhalb der Informationsfrist aus einem nachvollziehbaren datenschutzrechtlichen Grund widersprechen.
Die Parteien bemühen sich in diesem Fall um eine zumutbare Lösung.
Ist eine alternative Leistungserbringung nicht möglich oder wirtschaftlich unzumutbar, können die Parteien den von der Änderung betroffenen Leistungsteil beenden.
4. Vertragliche Verpflichtung
Der Auftragsverarbeiter verpflichtet eingesetzte Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die ein angemessenes Schutzniveau gewährleisten und den Anforderungen des Art. 28 DSGVO entsprechen.
§ 8 Internationale Datenübermittlungen
Eine Verarbeitung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums erfolgt nur unter Beachtung der Art. 44 ff. DSGVO.
Je nach konkretem Empfänger werden insbesondere:
• Angemessenheitsbeschlüsse der Europäischen Kommission,
• EU-Standardvertragsklauseln,
• oder andere gesetzlich zugelassene Übermittlungsmechanismen
verwendet.
Soweit nach den gesetzlichen Anforderungen notwendig, werden ergänzende technische und organisatorische Schutzmaßnahmen berücksichtigt.
§ 9 Datenschutzverletzungen und Betroffenenrechte
1. Datenschutzverletzungen
Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, soweit Daten betroffen sind, die im Auftrag verarbeitet werden.
Die Mitteilung enthält, soweit die Informationen verfügbar sind:
• Art der Verletzung,
• betroffene Datenkategorien,
• soweit bekannt betroffene Personengruppen,
• mögliche Folgen,
• bereits ergriffene oder geplante Abhilfemaßnahmen.
Weitere Informationen werden nachgereicht, sobald sie verfügbar sind.
2. Betroffenenanfragen
Gehen beim Auftragsverarbeiter unmittelbar Anfragen betroffener Personen ein, die eine Auftragsverarbeitung des Auftraggebers betreffen, leitet der Auftragsverarbeiter diese grundsätzlich an den Auftraggeber weiter.
Eine eigenständige Beantwortung erfolgt nur auf Weisung des Auftraggebers oder soweit der Auftragsverarbeiter gesetzlich hierzu verpflichtet ist.
§ 10 Rückgabe und Löschung
1.
Nach Beendigung der Auftragsverarbeitung löscht oder gibt der Auftragsverarbeiter personenbezogene Daten nach Wahl des Auftraggebers zurück, soweit keine gesetzliche Verpflichtung zur weiteren Speicherung besteht.
2.
Soweit der Auftraggeber keine abweichende Weisung erteilt, ist der Auftragsverarbeiter berechtigt, personenbezogene Daten nach Beendigung der vertraglichen Leistungen zu löschen.
3.
Daten in technischen Sicherungskopien werden im Rahmen der regulären Backup- und Überschreibungszyklen gelöscht beziehungsweise überschrieben. Bis dahin dürfen sie ausschließlich zu Sicherungs- und Wiederherstellungszwecken verarbeitet werden.
4.
Gesetzlich aufzubewahrende Daten dürfen bis zum Ablauf der jeweiligen gesetzlichen Aufbewahrungsfrist gespeichert werden. Sie dürfen während dieses Zeitraums nur für die gesetzlich zulässigen Zwecke verarbeitet werden.
§ 11 Nachweise und Audits
1.
Der Auftragsverarbeiter stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen.
2.
Der Auftraggeber ist berechtigt, die Einhaltung dieses AVV in angemessenem Umfang zu kontrollieren.
Regelmäßige Audits sind grundsätzlich mit mindestens 14 Kalendertagen Vorlauf anzukündigen und sollen den laufenden Geschäftsbetrieb nicht unangemessen beeinträchtigen.
3.
Ohne konkreten Anlass soll grundsätzlich nicht mehr als ein Audit innerhalb von zwölf Monaten durchgeführt werden.
Diese Begrenzung gilt nicht bei:
• konkreten Datenschutz- oder Sicherheitsvorfällen,
• begründetem Verdacht auf einen erheblichen Verstoß,
• behördlichen Anforderungen,
• zwingenden gesetzlichen Verpflichtungen.
4.
Geeignete Zertifikate, Prüfberichte oder sonstige Nachweise können Vor-Ort-Prüfungen ersetzen, soweit sie einen ausreichenden Nachweis ermöglichen.
§ 12 Vertraulichkeit und Geschäftsgeheimnisse
Der Auftragsverarbeiter behandelt sämtliche im Rahmen der Auftragsverarbeitung bekannt werdenden nicht öffentlichen Informationen vertraulich.
Personenbezogene Daten und vertrauliche Unternehmensinformationen dürfen ausschließlich zur Erfüllung des Hauptvertrages und dieses AVV verwendet werden.
Gesetzliche Pflichten nach Datenschutzrecht und Geschäftsgeheimnisrecht bleiben unberührt.
Die Vertraulichkeitspflichten bestehen auch nach Beendigung des Vertragsverhältnisses fort.
§ 13 Haftung
Für die Haftung der Parteien gelten die gesetzlichen Bestimmungen sowie ergänzend die im Hauptvertrag vereinbarten Haftungsregelungen, insbesondere § 23 der Allgemeinen Geschäftsbedingungen der Schoen Software UG (haftungsbeschränkt), soweit diese auf das jeweilige Rechtsverhältnis anwendbar und gesetzlich zulässig sind.
Zwingende gesetzliche Haftungsregelungen, insbesondere nach der DSGVO, bleiben unberührt.
§ 14 Laufzeit und Beendigung
Dieser AVV tritt mit Abschluss beziehungsweise elektronischer Zustimmung in Kraft und gilt für die Dauer sämtlicher Auftragsverarbeitungen im Rahmen des Hauptvertrags.
Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.
Die Beendigung des Hauptvertrags beendet grundsätzlich auch diesen AVV, sobald sämtliche im Auftrag verarbeiteten personenbezogenen Daten nach Maßgabe von § 10 zurückgegeben oder gelöscht wurden.
§ 15 Rangfolge und Änderungen
Bei Widersprüchen zwischen diesem AVV und anderen Vertragsbestandteilen geht dieser AVV ausschließlich hinsichtlich datenschutzrechtlicher Regelungen vor.
Individuelle Weisungen und Vereinbarungen bleiben unberührt, soweit sie mit den zwingenden Vorgaben des Datenschutzrechts vereinbar sind.
Änderungen und Ergänzungen dieses AVV sollen aus Dokumentationsgründen in Textform erfolgen.
§ 16 Schlussbestimmungen
Es gilt deutsches Recht.
Soweit eine Gerichtsstandsvereinbarung gesetzlich zulässig ist, richtet sich der Gerichtsstand nach dem Hauptvertrag.
Sollte eine Bestimmung dieses AVV ganz oder teilweise unwirksam sein oder werden, bleiben die übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Regelungen.
________________________________________
Anlage A – Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung risikoorientierte technische und organisatorische Maßnahmen nach Art. 32 DSGVO.
Die konkrete technische Ausgestaltung kann im Rahmen der technischen Weiterentwicklung angepasst werden, sofern das Schutzniveau nicht wesentlich abgesenkt wird.
Die Maßnahmen umfassen insbesondere folgende Schutzbereiche:
1. Physische Infrastruktur
Die zentrale Hosting-Infrastruktur wird bei einem professionellen Rechenzentrums- beziehungsweise Cloudanbieter betrieben.
Derzeit wird hierfür insbesondere Infrastruktur der Hetzner Online GmbH in Deutschland beziehungsweise der Europäischen Union genutzt.
Die physische Zutrittssicherung zu den Rechenzentren liegt im Verantwortungsbereich des jeweiligen Hostinganbieters.
2. Zugang und Authentifizierung
Der Zugriff auf Benutzerkonten und administrative Systeme wird durch geeignete Authentifizierungs- und Berechtigungsverfahren geschützt.
Administrative Zugriffsrechte werden auf den für die jeweilige Tätigkeit erforderlichen Personenkreis beschränkt.
3. Zugriffsbeschränkung
Zugriffe auf personenbezogene Daten erfolgen nach dem Erforderlichkeitsprinzip.
Zugriffsrechte werden entsprechend der jeweiligen Funktion und Aufgabe vergeben.
Kunden- und Benutzerbereiche werden technisch beziehungsweise logisch voneinander abgegrenzt, soweit dies für die jeweilige Systemarchitektur erforderlich ist.
4. Übertragungssicherheit
Datenübertragungen zwischen Endgerät und Plattform werden mittels geeigneter Transportverschlüsselung, insbesondere TLS, geschützt.
5. Protokollierung und Systemsicherheit
Sicherheitsrelevante technische Vorgänge können protokolliert werden.
Die Systeme werden im Rahmen eines angemessenen technischen Betriebs überwacht und sicherheitsrelevante Aktualisierungen werden nach Maßgabe des jeweiligen Risikos durchgeführt.
6. Verfügbarkeit und Wiederherstellung
Es werden angemessene Sicherungs- und Wiederherstellungsverfahren eingesetzt, um Datenverlusten und technischen Ausfällen entgegenzuwirken.
Sicherungen werden entsprechend dem vorgesehenen Sicherungszyklus verwaltet.
7. Datenminimierung und Löschung
Personenbezogene Daten werden nur in dem Umfang verarbeitet, der für den jeweiligen Zweck erforderlich ist.
Für Vertragsende, Weisungen und gesetzliche Löschpflichten bestehen Verfahren zur Löschung beziehungsweise Sperrung von Daten.
8. Vertraulichkeit
Personen mit berechtigtem Zugriff auf personenbezogene Daten werden angemessen zur Vertraulichkeit verpflichtet.
9. Unterauftragsverarbeiter
Externe Auftragsverarbeiter werden nach datenschutzrechtlichen Kriterien ausgewählt und vertraglich verpflichtet.
Bei Drittlandverarbeitungen werden die jeweils erforderlichen gesetzlichen Übermittlungsmechanismen berücksichtigt.
Informationen zu den jeweils eingesetzten Garantien sowie eine Kopie der einschlägigen EU-Standardvertragsklauseln können unter info@schoen-negotiation.com angefordert werden.
10. Überprüfung und Weiterentwicklung
Die technischen und organisatorischen Maßnahmen werden risikoorientiert überprüft und bei Änderungen der Verarbeitung, der technischen Umgebung oder der Risikolage angepasst.
________________________________________
Anlage B – Unterauftragsverarbeiter
Nach dem derzeit dokumentierten technischen Stand werden insbesondere folgende Unterauftragsverarbeiter eingesetzt:
Hetzner Online GmbH
Leistung: Hosting und Cloud-Infrastruktur
Verarbeitungsort: Deutschland / Europäische Union
OpenAI Ireland Limited / OpenAI, L.L.C.
Leistung: KI-Modell- und API-Verarbeitung, soweit für die konkret verwendete Funktion erforderlich
Verarbeitungsregion: Europäische Union und/oder Drittland je nach konkret eingesetztem Dienst und technischer Konfiguration
Drittlandübermittlung: nur unter Beachtung der Art. 44 ff. DSGVO
Google Ireland Limited / Google LLC
Leistung: KI-Modell- und API-Verarbeitung, soweit für die konkret verwendete Funktion erforderlich
Verarbeitungsregion: Europäische Union und/oder Drittland je nach konkret eingesetztem Dienst und technischer Konfiguration
Drittlandübermittlung: nur unter Beachtung der Art. 44 ff. DSGVO
Anthropic Ireland Limited / Anthropic, PBC
Leistung: KI-Modell- und API-Verarbeitung, insbesondere Claude, soweit für die konkret verwendete Funktion erforderlich
Verarbeitungsregion: Europäische Union und/oder Drittland je nach konkret eingesetztem Dienst und technischer Konfiguration
Drittlandübermittlung: nur unter Beachtung der Art. 44 ff. DSGVO
Weitere Unterauftragsverarbeiter werden nach Maßgabe von § 7 dieses AVV bekannt gegeben.
________________________________________
Unterschriften
Auftraggeber
Ort/Datum: ______________________________
Name/Funktion: ______________________________
Unterschrift: ______________________________
Schoen Software UG (haftungsbeschränkt)
Ort/Datum: ______________________________
Name/Funktion: ______________________________
Unterschrift: ______________________________